Skladnost z NIS2 prinaša v središče podatke – ste pripravljeni?

Ko svoje stranke povprašamo o varnostnih kopijah, nam običajno zagotovijo, da so vsi pomembni podatki varno shranjeni in da je za vse poskrbljeno. Vendar poznejša poglobljena razprava pogosto pokaže, da podatki vendarle niso povsem varni.

Varnostno kopiranje podatkov je očitna naloga oddelka IT, podjetje ali organizacija pa bi se morala zanašati na varnostne kopije v primeru kakršnega koli incidenta – bodisi da gre za nenamerno brisanje pomembnih datotek, okvaro strojne opreme, izgubo prenosnega računalnika ali telefona ali, kar je dandanes vse pogostejše, napad z izsiljevalsko programsko opremo. Zahtevo po varnostnem kopiranju in predvsem možnosti obnovitve podatkov prinašata tudi direktiva NIS2 in z njo povezan novi Zakon o kibernetski varnosti, kjer je rešitev za varnostno kopiranje in obnovitev podatkov prav tako zahtevana kot sestavni del ukrepov kibernetske varnosti. V praksi se pogosto izkaže, da so nekatere varnostne kopije shranjene praktično povsod.

Vendar še zdaleč niso vedno v takšnem stanju, da bi jih v primeru napake, okvare ali kibernetskega napada res lahko uporabili za hitrejšo možno obnovo. Zakaj je tako in katere so najpogostejše napake in zmote pri varnostnem kopiranju?

1. Urejeno je samo varnostno kopiranje, ne pa tudi obnavljanje podatkov.

Številna podjetja in organizacije imajo načeloma dobro razvite strategije za varnostno kopiranje podatkov, vendar nimajo načrtov za njihovo obnovitev, ko je to potrebno. Hkrati mora načrt varnostnega kopiranja nujno vključevati tudi načrt obnovitve, tj. natančen opis, kako in kje so shranjene varnostne kopije, koliko časa je potrebno za obnovitev različnih sistemov in podatkov, kje so ozka grla v postopku obnovitve in katere postopke je treba uporabiti v primeru okvare. Zato se šele pozneje, po incidentu, sprejme odločitev o tem, kaj se lahko obnovi, od kod in za koliko časa. Vendar to le podaljša čas izpada in poveča izgube.

2. Varnostno kopiranje podatkov se ne preverja stalno

Obstoječa varnostna kopija podatkov ne pomeni nujno, da bo iz nje mogoče uspešno obnoviti podatke. Za vsako varnostno kopijo je zato treba v rednih časovnih presledkih preveriti njeno funkcionalnost, tj. možnost uspešne obnovitve podatkov. Funkcije preverjanja varnostnih kopij so pogosto del rešitev za varnostno kopiranje, vendar se nanje pogosto pozablja – to je dodatno delo za oddelek IT, v večini organizacij pa se funkcije varnostnih kopij, kot je dejanski čas, ki je potreben za obnovitev ključnih sistemov, preverjajo le občasno.

3. Nejasna arhitektura ali napačno izvajanje varnostnega kopiranja

Nekatere prihodnje težave z obnovitvijo podatkov, če je to potrebno, imajo svoj vzrok že na samem začetku – v neustrezno zasnovani strategiji varnostnega kopiranja in njenem splošnem dojemanju na ravni vodstva. Zanesljive in stabilne varnostne rešitve ne smemo obravnavati le kot naložbo, kot to pogosto vidi vodstvo, temveč kot obliko zavarovanja.

Samo varnostna kopija ne bo zaščitila podjetja pred izpadom in ne more ustvariti dobička – tako kot zavarovanje v primeru požara ali poplave. Če pa pride do nesreče, je njena vloga zagotoviti najhitrejšo možno sanacijo z najmanjšimi možnimi posledicami – spet kot pri zavarovanju.

Ker varnostno kopiranje ni naložba, ki neposredno ustvarja dobiček, njegovega donosa ni mogoče izračunati. Vendar bi morala biti večina podjetij sposobna izračunati stroške in izgube, če nimajo varnostne kopije ali če ta postane neuporabna. Zato je treba zasnovati strategijo varnostnega kopiranja, ki mora odražati različne ravni pomembnosti podatkov glede na njihovo razpoložljivost in hitrost obnovitve. Pogosto se izkaže, da uporaba velike zmogljivosti najhitrejšega (najdražjega) pomnilnika še zdaleč ni potrebna, temveč lahko organizacija z ustrezno razvrstitvijo podatkov in kombinacijo pomnilnikov znatno zmanjša stroške zanesljivega varnostnega kopiranja.

4. Odprta vrata za izsiljevalsko programsko opremo

Funkcionalne varnostne kopije so edina res učinkovita obramba pred napadi izsiljevalske programske opreme, ki so vsako leto bolj intenzivni. Poročilo Veeam 2023 Ransomware Trends Report pa ugotavlja, da „v skoraj vseh (93 %) kibernetskih incidentih kriminalci poskušajo napasti shranjevanje varnostnih kopij, zaradi česar 75 % organizacij med napadom izgubi vsaj del svojih varnostnih kopij, več kot tretjina (39 %) varnostnih kopij pa je popolnoma izgubljena“.

Na žalost to pomeni, da z neustrezno zasnovano strategijo in arhitekturo varnostnih kopij napadalec med napadom z izsiljevalsko programsko opremo napade in uniči tudi varnostne kopije, ki naj bi se uporabljale za hitro obnovitev po napadu (spet govorimo o zavarovanju in zmanjšanju posledic, ne o obrambi pred kibernetskim napadom).

Najpogostejši vzrok je vključitev strežnika za varnostno kopiranje v strukturo Active Directory v podjetju, kar predstavlja vabilo in odprta vrata za napadalce. Učinkovito varnostno kopijo v primeru izsiljevalske programske opreme je treba hraniti ločeno od poslovnega omrežja v obliki tako imenovane nespremenljive varnostne kopije, ki je ni mogoče uničiti ali šifrirati.

5. Podatki v oblaku niso samodejno varnostno kopiraniup

Danes se podatki podjetij nahajajo na toliko mestih in nosilcih, da jih je pogosto težko najti (najbolje bi bilo, če bi organizacija imela pregled in razvrstitev svojih podatkov, kar pa je včasih pravi izziv). Pomembno je opozoriti, da shranjevanje podatkov na zunanji disk, bliskovni disk ali celo v oblak ni varnostna kopija. Seveda je lahko v krizi disk, pozabljen v predalu pisalne mize, rešilen, toda kdo se lahko zanese na to, da tak disk slučajno leži nekje naokoli?

Prav tako se ne moremo zanašati na shranjevanje podatkov v storitvah v oblaku. Navsezadnje vsi resni ponudniki storitev v oblaku v svojih pogojih navajajo, da podatki, shranjeni v storitvah, kot je Microsoft 365, niso varnostno kopirani in da mora lastnik podatkov poskrbeti za njihovo varnostno kopiranje (morda v drugo namensko storitev v oblaku). Enako velja za poznejše dolgoročno arhiviranje teh varnostnih kopij (iz zakonodajnih razlogov ali kot „zlata varnostna kopija“, ko vse drugo odpove).

Če organizacija ne poskrbi za razvrščanje in varnostno kopiranje podatkov ter poznejše arhiviranje teh varnostnih kopij, lahko na primer zaposleni ob odhodu iz podjetja v celoti izbriše svoj e-poštni predal in podatke v SharePointu ali OneDrivu podjetja ter tako nepovratno uniči pomembne dokumente. Vendar se lahko podatki, shranjeni v oblaku, izgubijo tudi zaradi neprevidnosti ali izpada podatkovnega centra.